【入力例】
名前欄: ' OR '1'='1

【WAFの動作】
送信されたデータにSQLインジェクション攻撃の特徴的なパターンを検出したため、
Webサーバーへ渡す前に通信を拒否し、画面に「403 Forbidden（アクセス禁止）」のエラーを表示します。

もう少し詳しく

WAF（Web Application Firewall）は、一般的なファイアウォールやIDS/IPSが防ぐことのできない、Webアプリケーション層の脆弱性を狙った攻撃（OSコマンドインジェクション、SQLインジェクション、クロスサイトスクリプティング（XSS）、ディレクトリトラバーサルなど）からWebサイトを守ります。

WAFが通信を検査する基準には、大きく分けて「ブラックリスト方式（シグネチャ方式）」と「ホワイトリスト方式」があります。

ブラックリスト方式は、あらかじめデータベース化された既知の攻撃パターン（シグネチャ）と受信データを照合し、一致する通信を拒否する方式です。運用の手間が少なく導入しやすい反面、未知の脆弱性を狙った「ゼロデイ攻撃」を防ぐのは困難です。